0xterror/cve-2023-22047-oracle-peoplesoft-lfiCVE-2023-22047 ist eine kritische, nicht authentifizierte Local File Inclusion (LFI)-Schwachstelle in Oracle PeopleSoft Enterprise PeopleTools. Dieser Exploit ermöglicht es einem Angreifer, beliebige Dateien vom Zielserver ohne jegliche Authentifizierung zu lesen.
Nicht authentifizierte Local File Inclusion (LFI) in Oracle PeopleSoft Enterprise PeopleTools
Sicherheitsforscher | Exploit-Entwickler
CVE-2023-22047 ist eine kritische nicht authentifizierte Local File Inclusion (LFI)-Schwachstelle, die in Oracle PeopleSoft Enterprise PeopleTools entdeckt wurde. Dieser Exploit ermöglicht es einem Angreifer, ohne Authentifizierung beliebige Dateien vom Zielserver zu lesen, was zur Offenlegung sensibler Daten führen kann, darunter:
Die Schwachstelle befindet sich in der Komponente Updates Environment Management von PeopleSoft Enterprise PeopleTools. Der Fehler wird durch eine unsachgemäße Behandlung des Parameters wsrp-url im Endpunkt /RP ausgelöst.
| Aspekt | Details |
|---|---|
| Komponente | Updates Environment Management |
| Endpunkt | /RP (Resource Provider) |
| Parameter | wsrp-url |
| Angriffsvektor | HTTP-GET-Anfrage |
| Authentifizierung | ❌ Nicht erforderlich |
| Schwachstellentyp | CWE-22: Path Traversal |
| CVSS-Score | 9.8 (Kritisch) |
graph LR
A[Attacker] -->|GET /RP?wsrp-url=file:///etc/passwd| B[PeopleSoft Server]
B -->|Reads /etc/passwd| C[File System]
C -->|Returns file content| B
B -->|Sends file content| A